Rails 的安全和不安全会话

Question

我有一个电子商务网站，当用户登录时，他们可以使用保存的信用卡数据进行购买。所以，我想使用安全会话。

但是，我的网站上有非 SSL 页面，用户也需要在这些页面上登录。所以我也希望该用户有一个不安全的会话。

我怎样才能用 Rails 做到这一点？

Answer 1

您已经正确认识到，在标准 Rails 应用程序中混合 http 和 https 的问题是会话需要不安全（即通过不安全的 cookie 引用），这意味着它容易受到会话侧劫持。

正如您在对 @nmott 的回答的评论中提到的，一种方法是同时拥有安全和不安全的 cookie。

就我的目的而言，我发现拥有一个不安全的 Rails 会话以及一个仅引用当前登录用户的 user_id 的安全签名 cookie 就足够了，而不是引用两个相同的会话。换句话说，我不需要会话的完整副本，只需要每个用户（在安全 cookie 中）唯一与不安全会话匹配的内容。

在通过 SSL 访问的每个操作（并且具有当前用户）中，我检查安全签名的 cookie user_id 是否与不安全的 Rails 会话中存储的 user_id 匹配。如果存在匹配，我认为一切正常并通过引用不安全会话正常进行。如果不匹配，我会显示一条错误消息。我使用 before_filter 方法来完成此操作，如下所示：

def verify_secure_user_cookie
  # If we have a current user and the request is SSL, we want to make sure the user
  # has a secure cookie that matches the current user's id.  This prevents attackers
  # from side-jacking a session by obtaining a cookie from a non-SSL request.
  if current_user and request.ssl?
    unless cookies.signed[:user_id] == current_user.id
      raise StandardError, "Invalid secure user cookie"
    end
  end
end

据推测，合法用户将始终拥有安全 cookie 并且永远不会看到错误消息。攻击者只能复制不安全的 cookie，而无法访问安全的 cookie。在这种情况下，他可以侧劫会话并访问非 SSL 页面，但他无法使用受害者的会话访问 SSL 页面。

因此，您的非 SSL 页面仍然容易受到侧面劫持，但您的 SSL 页面不容易受到会话侧面劫持。为了使其有效，您必须对所有需要安全的操作（防止窃听或会话劫持）强制执行 SSL。在控制器中使用force_ssl 是实现此目的的一种方法，或者您也可以自己推出。

Answer 2

在 Rails 中，您可以通过以下方式对任何控制器强制使用 SSL：

force_ssl

这会将与控制器操作相关的任何 http 调用自动重定向到 https。这与任何您想要实现的身份验证是分开的。

只需对需要它的控制器（包括非 ssl 控制器）实施身份验证，并对任何额外需要安全会话的控制器使用 force_ssl。